Un correo de phishing que se siente demasiado real

A veces reconoces el phishing de inmediato. Mal formato, frases extrañas o un remitente que no acaba de cuadrar. Pero a veces ocurre justo lo contrario. Todo parece lógico. Todo tiene el aspecto que esperarías. Precisamente eso es lo que hace que estos ataques sean tan peligrosos. En este tipo de situaciones, no solo el destinatario es el objetivo: toda la organización juega un papel. Un atacante utiliza un entorno legítimo de Microsoft 365 como canal de distribución. Esto solo es posible si ya se ha tomado el control de una cuenta dentro de esa organización. La confianza ya se ha construido, incluso antes de que hayas hecho clic en algo.

Nosotros también recibimos phishing

A veces existe la ilusión de que las empresas de ciberseguridad no reciben correos de phishing. Muchos ciberdelincuentes no distinguen entre quién o qué recibe un correo de phishing. Hace poco nos llamó la atención un correo concreto. Un mensaje que parecía una notificación estándar de que alguien había compartido un archivo contigo, en este caso "voorstel (Proposal)". A menudo recibimos solicitudes mediante un documento .pdf, y además el remitente y el contexto correspondiente cuadraban. El enlace no apuntaba a un dominio dudoso, sino a un entorno SharePoint real de la misma empresa que envió el correo. Precisamente por eso generó dudas, también en nosotros. Como es lógico, desde nuestra experiencia sentimos curiosidad y empezamos a investigar de forma segura y controlada qué estaba pasando.

La señal que a menudo se pasa por alto

En el phishing clásico, casi todo se ejecuta sobre infraestructura del atacante. Aquí no era el caso. La URL apuntaba a un tenant real, e incluso a una ubicación personal de OneDrive de un usuario dentro de ese tenant. Este tipo de enlaces normalmente solo se generan cuando alguien comparte de verdad un archivo desde Microsoft 365.

Esto lo vemos con frecuencia en este tipo de incidentes. Primero se hace phishing a un empleado. Después, el atacante inicia sesión y contacta a nuevas víctimas desde la cuenta real. Un correo enviado desde el dominio correcto y a través de infraestructura genuina de Microsoft pasa más fácilmente los filtros técnicos y automáticamente te resulta más fiable.

Un PDF como caballo de Troya

En este caso se trataba de un PDF compartido. A primera vista, inofensivo: alguien comparte un documento contigo. El paso malicioso no estaba en el propio enlace de SharePoint, sino en lo que ocurría después.

Los metadatos del PDF cuentan una historia interesante. El documento se creó con Microsoft Word para Microsoft 365. Al mismo tiempo, el autor figura registrado como PixDev Limited, una empresa de diseño web de Ghana. La hora de creación tampoco encaja con el contexto de la organización. Por separado, esto no es una prueba concluyente. Juntos, sin embargo, forman un cuadro lógico: un atacante que creó el documento y lo compartió a través de una cuenta de OneDrive comprometida.

¿Qué hay realmente detrás?

El enlace del PDF llevaba a un kit de phishing que imitaba con precisión el inicio de sesión de Microsoft. El objetivo no era solo tu contraseña; también se capturaban activamente los códigos MFA.

La primera capa consistía en JavaScript fuertemente ofuscado. El código construía un blob cifrado en base64, lo descifraba localmente y después ejecutaba la siguiente fase. Al hacer visible ese paso de forma controlada, sin dejar que el código se ejecutara directamente, pudimos analizar lo que ocurría.

Después venía un preloader con claras técnicas anti-análisis. El kit extraía datos de la URL, cargaba librerías conocidas como jQuery y Bootstrap, y traía scripts adicionales desde un host en la nube externo. Al mismo tiempo, comprobaba la presencia de bots, herramientas de análisis y comportamiento de depuración. Si algo parecía sospechoso, el flujo se detenía.

Solo después aparecía el falso inicio de sesión de Microsoft, con soporte para múltiples métodos MFA, como notificaciones push, códigos por SMS o aplicaciones de autenticación. El backend se comunicaba activamente sobre el estado y las sesiones. Esto demuestra lo madura que se ha vuelto este tipo de herramienta. El phishing lleva tiempo dejando de tratarse únicamente de contraseñas.

Por qué funciona tan bien

La fuerza de este ataque reside en la confianza. Empiezas en un dominio de Microsoft dentro de tu propio tenant. Todo resulta familiar. Solo más tarde te redirigen sutilmente, no a través del propio enlace de SharePoint, sino mediante un botón en un documento en el que ya confías.

Si, además, ese correo procede de una cuenta de empleado real, el tono encaja automáticamente mejor. Eso hace que el paso de hacer clic sea más pequeño que en un phishing aleatorio.

¿Qué puedes hacer al respecto?

Todo empieza por el realismo. Un enlace de Microsoft ya no es garantía de seguridad.

Si recibes un correo sobre un archivo compartido que no esperabas, trátalo como sospechoso, incluso si es un enlace de SharePoint o OneDrive. Si aun así abres el archivo compartido, presta mucha atención al momento en que te redirigen a algo fuera de Microsoft.

Un PDF que te pide hacer clic para ver o verificar el documento suele ser el punto de inflexión. Comprueba si el archivo se puede abrir normalmente en SharePoint sin botones adicionales. Y si tienes dudas, verifícalo con el remitente por otro canal.

¡Mantente alerta!

Este caso muestra el aspecto que tiene el phishing de alta confianza. Se utiliza infraestructura real de Microsoft como envoltorio. El paso malicioso llega más adelante en la cadena.

Lo especialmente preocupante es que esto a menudo apunta a una cuenta comprometida dentro de la organización. En ese caso, no solo te enfrentas a un correo de phishing, sino a una señal de que un atacante ya está dentro y utiliza activamente el tenant para seguir propagándose. Eso requiere acción, no solo concienciación.